Para gerentes, contadores, directores financieros y empresarios, las fallas de control interno no son únicamente una cuestión de cumplimiento: pueden permitir que errores y fraudes pasen inadvertidos, se repitan o aumenten su impacto. El riesgo crece cuando una sola persona concentra tareas incompatibles, las conciliaciones se retrasan, los permisos de acceso no se revisan y el cierre contable carece de etapas verificables. Estas condiciones reducen la posibilidad de detectar discrepancias a tiempo y dificultan determinar quién autorizó, registró o modificó una operación.
Un sistema de control interno bien diseñado ayuda a prevenir y detectar irregularidades, asigna responsabilidades y crea evidencia para revisar las transacciones. Sin embargo, ningún control garantiza que nunca ocurran incidentes. Los procedimientos pueden eludirse, aplicarse de forma inconsistente o dejar de ser adecuados cuando cambian los sistemas, el personal o las operaciones. Por ello, la supervisión periódica y la respuesta rápida ante excepciones son tan relevantes como las políticas escritas.
Este artículo examina cómo las deficiencias de control pueden relacionarse con errores financieros y fraude, y qué medidas prácticas pueden fortalecer la gestión. Distingue expresamente entre hechos documentados en informes, investigaciones o resoluciones y el análisis y las recomendaciones del autor. No se presentarán como hechos ejemplos hipotéticos ni se inventarán empresas, cifras o incidentes; toda afirmación concreta sobre un caso debe respaldarse con una fuente primaria o confiable. Las recomendaciones generales se identificarán como tales, de modo que el lector pueda separar evidencia, interpretación y orientación práctica.
La categoría editorial sugerida es Finanzas, contabilidad y control interno. La fecha de publicación o corte de revisión solicitada es el 27 de octubre de 2026; no implica que cada fuente haya sido consultada en esa fecha. Como imagen de portada, se propone una mesa de cierre financiero con estados de cuenta, una lista de conciliación y una pantalla de ERP con datos ficticios, claramente ilustrativos. La imagen debe presentarse como representación conceptual, no como fotografía de un caso real. Con este contexto, el análisis se centra en señales observables y controles que las organizaciones pueden evaluar según su tamaño y complejidad.
Los casos públicos permiten distinguir entre hechos probados o documentados y las preguntas de control que esos hechos suscitan. Esa separación evita convertir una inferencia razonable en una conclusión oficial.
Wirecard. Fuente: Bundestag alemán, informe final de la comisión de investigación, documento 19/30900, publicado el 22 de junio de 2021; y comunicaciones y actuaciones de BaFin disponibles en su archivo sobre Wirecard. Qué se estableció: el informe parlamentario examinó la insolvencia, las actuaciones de supervisores y auditores y las señales de alerta previas. BaFin documentó sus propias medidas regulatorias y decisiones. Qué no concluye por sí solo: una crítica a la supervisión no demuestra que una deficiencia particular causara cada saldo falso o pérdida. Lección: preguntar cómo se verificaron independientemente los saldos, qué evidencia externa se obtuvo, cómo se escalaron las alertas y quién supervisó su resolución. Referencias: Bundestag, 19/30900; BaFin, archivo de Wirecard.
Wells Fargo. Fuentes: OCC, orden de consentimiento sobre prácticas de venta, 8 de septiembre de 2016; Reserva Federal, acción de cumplimiento, 2 de febrero de 2018. Qué se estableció: la OCC describió prácticas de ventas indebidas en banca minorista; la Reserva Federal señaló deficiencias en la supervisión y gobierno corporativo y restringió el crecimiento del banco. Qué no concluye: esos documentos no permiten atribuir automáticamente cada cuenta no autorizada a una única falla técnica de control. Lección: los incentivos, la supervisión y los canales de denuncia deben revisarse conjuntamente. Referencias: OCC, comunicado 2016-113; Reserva Federal, 2-2-2018.
En cualquier organización, segregación insuficiente, conciliaciones tardías, bitácoras incompletas o accesos excesivos pueden facilitar errores o dificultar su detección; no debe afirmarse que causaron estos casos sin respaldo documental. Las conclusiones legales y regulatorias dependen de los informes y resoluciones citados, y conviene consultar sus textos íntegros y fechas antes de extraer conclusiones.
Los controles financieros deben cubrir todo el ciclo de una operación: autorización, registro, custodia, revisión y corrección. La separación de funciones asigna estas tareas a personas distintas. Cuando el tamaño de la empresa no lo permite, se establecen controles compensatorios, como una revisión independiente, y se conserva evidencia de quién la realizó y cuándo.
Las conciliaciones se programan según el riesgo y el volumen: bancos con frecuencia alta; cuentas de balance, cartera, pagos y auxiliares conforme a un calendario definido. Cada diferencia debe incluir descripción, responsable, antigüedad, resolución y aprobación. En tesorería, por ejemplo, una doble autorización para pagos se complementa con la conciliación de recaudos; en cartera, el análisis de saldos vencidos ayuda a detectar errores y posibles pérdidas.
Las bitácoras permiten reconstruir incidentes al registrar quién actuó, cuándo, desde qué rol, con qué información y bajo qué autorización. Los usuarios operativos no deben poder modificar ni eliminar sus propios registros de auditoría. A su vez, los cierres por etapas asignan fechas y responsables para submayores, conciliaciones, ajustes, análisis, consolidación y bloqueo del período. Los criterios para reabrirlo deben ser explícitos y aprobados.
La gestión de accesos aplica mínimo privilegio, identifica perfiles incompatibles y exige autenticación adecuada. Conviene revisar periódicamente las cuentas privilegiadas y retirar accesos de inmediato ante cambios de funciones o fin de la relación laboral. También se deben controlar las modificaciones presupuestarias y revisar combinaciones de permisos que permitan ejecutar una operación completa sin supervisión.
Estos mecanismos respaldan la fiabilidad de la información relacionada con reconocimiento, medición, estimaciones, asientos manuales y revelaciones conforme a NIIF, junto con la documentación de soporte. No reemplazan la consulta de la norma aplicable ni implican que esta prescriba un diseño único de ERP. La tecnología puede generar alertas y evidencia, pero no corrige procesos mal diseñados.
Una matriz práctica puede vincular riesgo, control, responsable, frecuencia, evidencia y acción ante excepciones. Así, cada desviación tiene una ruta de investigación y resolución, en lugar de quedar como una alerta sin seguimiento.
Un plan escalonado permite convertir los hallazgos sobre fraude y errores financieros en medidas verificables. Durante los primeros 30 días, inventaríe los procesos críticos, usuarios privilegiados, conciliaciones vencidas, asientos manuales y cuentas con partidas antiguas. Asigne un responsable y una fecha a cada riesgo, y preserve registros relevantes, como aprobaciones, bitácoras y respaldos, conforme a las políticas de retención y privacidad. Priorice las áreas con mayor volumen, impacto económico o acceso a activos.
En los siguientes 60 días, mapee las incompatibilidades entre funciones y perfiles del ERP, formalice calendarios de cierre y establezca criterios para escalar excepciones. Documente los controles compensatorios cuando una separación de funciones no sea viable. Defina quién revisa cada control, qué evidencia conservará y cómo se comunicará un incumplimiento. Las reglas deben ser comprensibles para las áreas operativas y coherentes con los riesgos de cada proceso.
Al llegar a los 90 días, pruebe una muestra de controles, mida excepciones y reincidencias, corrija permisos y presente los resultados a la dirección o al comité de auditoría. Utilice indicadores, sin presuponer resultados: porcentaje de conciliaciones realizadas dentro del plazo, antigüedad de partidas abiertas, ajustes posteriores al cierre, accesos incompatibles pendientes de remediación, excepciones presupuestarias y tiempo de resolución de hallazgos. Compare tendencias y documente responsables y acciones pendientes.
La auditoría interna puede evaluar, con independencia, el diseño y funcionamiento de los controles mediante muestreo y seguimiento. La auditoría externa tiene objetivos distintos, vinculados a la opinión sobre información financiera; ninguna auditoría garantiza detectar todo fraude. El marco COSO puede ayudar a estructurar el sistema de control interno. Para verificar casos concretos, consulte informes regulatorios o de investigación pertinentes y sus fuentes originales. Adapte el plan al tamaño, sector y sistema de cada organización. Si desea explorar opciones, solicite una demostración para conocer cómo visualizar roles, conciliaciones, aprobaciones y trazabilidad en un ERP, sin asumir capacidades específicas ni resultados garantizados.